BTC 钱包风险检测与恢复评估 #1425

### 1. 一句话结论

这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1425），目前链上余额约 192.76 BTC，但**尚未获得明文密码**，且**不适用“余额为0”的业务简化标注**，仍需按常规流程继续推进取证。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包名 `MEGA-BONUS / 159 12PpzLTHNWCLsHPgHMNd9ebj7bwbTxs33u.dat`，主地址 `12PpzLTHNWCLsHPgHMNd9ebj7bwbTxs33u`。
- **格式与版本**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件大小 188,416 字节。
- **余额状态**：当前余额 192.75652321 BTC；业务标注“余额很小(≤阈值)”为**否**，即不适用小额快速处置通道。
- **密码证据**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已获得明文密码。
- **录入与更新时间**：2026-06-23 录入，2026-09-05 最后更新，数据标注日期为 2026-06-23。
- **链上交易统计**（依据 `direction` 字段）：转出 3 笔，转入 32 笔；最后转出 2017-08-22，最后转入 2026-03-16；近 30 天转入转出均为 0；交易跨度 4993 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是在 2026 年 6 月 23 日进入我们视野的。当时它被标记为“MEGA-BONUS”，文件路径显示它来自一个名为 `fake.czb.com` 的评审目录，说明它可能是某批历史遗留钱包中的一员。文件大小约 184 KB，符合 Legacy BDB 格式的特征——这类钱包通常对应 Bitcoin Core 0.16 之前的版本。

我们首先核对了它的链上活动。数据显示，这个地址在 2017 年 8 月有过最后一笔转出，之后长时间沉寂，直到 2026 年 3 月又出现了一笔转入。转入 32 笔、转出仅 3 笔的结构，加上最后转入时间远晚于最后转出时间，提示这个钱包可能主要用于“归集”而非“支付”。

接着我们检查了它的业务标注。系统明确给出“余额很小”为否，意味着它不符合“低价值快速结案”的条件——192.76 BTC 的余额也印证了这一点。同时，密码状态字段显示为“否”，说明我们尚未拿到可验证的明文口令。整个过程目前停留在“资料齐全、密码未破”的阶段，没有进入任何可确认成功的环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 32 笔，最后一笔发生在 2026-03-16 06:15:32。近 30 天转入为 0，说明近期没有新的资金流入。
- **转出（send）**：共 3 笔，最后一笔发生在 2017-08-22 06:01:54。近 30 天转出为 0，说明当前没有主动支出行为。
- **整体判断**：该地址在 2017 年停止转出后，于 2026 年又收到一笔转入，但之后再次归于平静。交易跨度 4993 天（约 13.7 年），属于典型的长周期持有或休眠后激活模式。
- **未知项**：关于每笔交易的具体对手方、金额明细及用途，当前数据未同步，暂无法解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：系统标注“余额很小(≤阈值)”为**否**。这意味着该钱包**不适用**“余额为0/极小”的自动简化处置流程，必须走完整取证与密码恢复流程。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**。即：**尚未获得明文密码，也未验证成功**。任何关于“已破解”的说法均不成立。当前仍处于“有密文、无明文”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充钱包创建时间或首次交易时间**：用于判断 2017 年转出前的使用习惯，缩小密码设置时间窗。
2. **获取该钱包关联的邮箱/用户名线索**：钱包名含“MEGA-BONUS”，可能关联某个活动或平台账号，有助于回忆密码组合。
3. **调取 2017 年 8 月转出前后的链上备注或交易附言**：有时会留下地址标签或提示语。
4. **核查 2026-03-16 那笔转入的来源地址**：来源方可能掌握钱包持有者的身份信息。
5. **检索 `fake.czb.com` 评审目录的上下文**：该路径暗示钱包来自某次批量评审，可能附带原始提交说明。
6. **确认钱包文件是否包含多个地址**：Legacy BDB 可能含密钥池，若仅有主地址，则密码线索更集中。
7. **查找同批次（同目录）其他钱包的命名规律**：若其他钱包名也含“BONUS”或类似词，可推断命名模板。
8. **补充钱包持有者的历史密码习惯档案**（如有）：用于合规的密码提示，而非暴力猜测。

### 7. 已尝试方向回顾（避免重复投入）

- **业务标注筛查**：已确认该钱包不属于“余额极小”类别，无需再走快速结案通道。
- **链上活动梳理**：已完成转入/转出笔数与时间统计，确认无近 30 天活跃，排除了“正在被使用”的可能。
- **密码状态核验**：已确认当前无任何“已知密码”强证据，后续不应假设密码已存在，而应继续寻找密码线索来源。
- **格式识别**：已确认是 Legacy BDB 格式，无需再对文件格式做重复检测。

> 以上内容仅基于提供的事实字段进行复盘，不含任何攻击步骤或敏感信息还原。